CVE-2025-14335CVE-2025-14335是itsourcecode学生管理系统1.0版本中的一个高危SQL注入漏洞。该漏洞存在于/new_school_year.php文件的sy参数中，攻击者可以通过构造恶意的SQL语句来执行未授权的数据库操作。由于该漏洞无需认证即可利用，且可以通过网络远程触发，因此存在较高的安全风险。成功利用此漏洞可能导致敏感数据泄露、数据篡改或服务中断。
该漏洞源于/new_school_year.php文件对sy参数缺乏有效的输入验证和过滤。攻击者可以通过HTTP请求向该参数注入恶意的SQL代码片段。系统直接将该参数值拼接到SQL查询语句中执行，导致SQL注入漏洞。攻击者可以利用UNION SELECT、布尔盲注或时间盲注等技术来提取数据库中的敏感信息，包括用户凭证、管理员账户等。由于漏洞位于学校年份参数处，攻击者可能获取学生信息、教师数据和其他敏感记录。